PHP

En juin 1995, le code des outils à l’origine de PHP est rendu public. Depuis, PHP est devenu un langage de programmation : il sert à écrire des instructions exécutées par un logiciel, appelé interpréteur. Son nom désigne aussi couramment ce logiciel. Dans un hébergement web, « changer de version de PHP » signifie donc changer le moteur qui exécute le code du site.

Sur un site utilisant PHP, le Navigateur web envoie une demande au serveur web. Celui-ci fait exécuter le programme PHP nécessaire, éventuellement par l’intermédiaire de PHP-FPM. Le programme peut consulter une base de données, vérifier un accès ou enregistrer un formulaire, puis produire une réponse. Le navigateur reçoit ce résultat, souvent une page en HTML, le langage qui décrit sa structure. Dans ce fonctionnement normal, il ne reçoit pas le code PHP qui l’a fabriquée. Le code exécuté côté serveur et les instructions exécutées dans le navigateur ont ainsi des rôles distincts.

Un site dit dynamique produit des réponses à partir de données ou d’actions : un catalogue peut afficher le stock disponible, un espace membre seulement les documents autorisés. PHP est un moyen de construire ce fonctionnement, parmi d’autres. Un site peut aussi employer un logiciel de gestion de contenu écrit en PHP pour permettre de publier sans programmer chaque page. Le visiteur n’a rien à installer pour consulter un tel site ; PHP fonctionne chez l’hébergeur.

La sécurité dépend de plusieurs couches : l’interpréteur PHP, le logiciel du site, ses modules et la configuration du serveur. Une Mise à jour de PHP ne corrige pas automatiquement une Faille de sécurité dans un module du site. Inversement, mettre ce module à jour ne répare pas une version de PHP en Fin de support. Le code doit aussi contrôler les données reçues et les droits d’accès : une page qui s’affiche correctement ne prouve pas que ces contrôles existent.

Octobre 2026 en donne un exemple concret. Deux failles de l’interpréteur lui-même, surnommées PHP2Shell, permettent de prendre la main sur un serveur à distance, sans mot de passe. Les corrections sont publiées le 21 octobre, et des tentatives d’attaque sont observées dès le 17, avant même l’annonce. Un site qui repose sur PHP, WordPress, Joomla ou Drupal compris, est donc probablement concerné, quel que soit le soin apporté à ses modules. Le détail est dans notre article PHP2Shell : deux failles critiques dans PHP.

Chaque version de PHP est suivie pendant environ quatre ans : deux ans de corrections générales, puis des corrections de sécurité seules, jusqu’au 31 décembre de la dernière année. Fin octobre 2026, quatre branches en reçoivent encore : la 8.2 jusqu’au 31 décembre 2026, la 8.3 jusqu’à fin 2027, la 8.4 jusqu’à fin 2028 et la 8.5 jusqu’à fin 2029. Un site encore en 8.1, ou plus ancien, tourne sur un moteur que plus personne ne corrige : une faille découverte demain n’y sera jamais réparée.